Ratgeber
Was ist ein DSGVO-konformer KI-Chat?
Ein DSGVO-konformer KI-Chat verarbeitet Eingaben, Dokumente und Metadaten ausschließlich innerhalb der EU, sichert jede beteiligte Verarbeitung über Auftragsverarbeitungsverträge ab und verwendet Firmendaten nicht zum Training von KI-Modellen. Hinzu kommen Rollen- und Mandantentrennung, ein Löschkonzept für Chats und Dokumente sowie ein Audit-Log, das die Verarbeitung nachweisbar macht.
Die sieben Kriterien im Detail
EU-Verarbeitung – auch der KI-Modelle
Die Datenbank in Frankfurt zu hosten reicht nicht. Entscheidend ist, wo die Sprachmodelle rechnen: Läuft die Inferenz in den USA, wandern Ihre Eingaben trotzdem über den Atlantik. DSGVO-konform heißt: Datenhaltung, Modelle, Transkription und E-Mail-Versand vollständig in der EU.
AVV mit jedem Dienstleister
Der KI-Chat-Anbieter ist Auftragsverarbeiter nach Art. 28 DSGVO – und braucht seinerseits Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern: Hosting, Modellbetrieb, E-Mail. Lassen Sie sich die Kette vollständig nennen, nicht nur das erste Glied.
Kein Training mit Firmendaten
Weder Anbieter noch Modellbetreiber dürfen Chats oder Dokumente zum Training von KI-Modellen verwenden. Das muss vertraglich zugesichert sein – eine abschaltbare Option in den Kontoeinstellungen genügt nicht, weil sie niemand kontrolliert.
Löschkonzept
Nutzer müssen Chats und Dokumente selbst und restlos löschen können – einschließlich abgeleiteter Daten wie Suchindizes und Einbettungen. Bei Vertragsende wird die gesamte Organisation entfernt; ein Datenexport vorab gehört dazu.
Rollen und Mandantentrennung
Jede Organisation ist technisch von jeder anderen getrennt, idealerweise auf Datenbankebene. Innerhalb der Organisation regeln Rollen und Abteilungen, wer welche Bots und welches Wissen sieht – die Buchhaltung liest nicht im Personal-Bot.
Audit-Log
Ihr Datenschutzbeauftragter braucht Nachweise, keine Zusicherungen. Ein Audit-Log protokolliert sicherheitsrelevante Vorgänge – etwa jede Anonymisierung vor einer Websuche – und macht die Verarbeitung prüfbar.
Websuche nur anonymisiert
Externe Suchanfragen verlassen zwangsläufig die Plattform. Konform wird das erst, wenn personenbezogene Daten – Namen, Kennzeichen, Kunden- und Vorgangsnummern – vor dem Versand automatisch entfernt und der Vorgang protokolliert wird.
Der Unterschied im Datenfluss
Links der übliche Weg allgemeiner KI-Chatbots, rechts die EU-Verarbeitungskette von Company Chat:
Eingaben verlassen die EU. Was mit ihnen passiert, entscheidet der Anbieter – oft inklusive Training.
Verarbeitung, Speicherung und KI-Modelle bleiben in der EU – nachweisbar, ohne Training mit Ihren Inhalten.
Checkliste für die Anbieterauswahl
Acht Fragen, die jeder Anbieter konkret beantworten können muss – ausweichende Antworten sind eine Antwort:
- Wo laufen die KI-Modelle – nicht nur die Datenbank?
- Liegt für jeden Unterauftragsverarbeiter ein AVV vor?
- Ist Training mit Eingaben vertraglich ausgeschlossen – auch beim Modellbetreiber?
- Können Nutzer Chats und Dokumente selbst restlos löschen?
- Gibt es ein Audit-Log, das der Datenschutzbeauftragte einsehen kann?
- Wie sind Mandanten technisch getrennt – Konfiguration oder Datenbankebene?
- Was passiert mit personenbezogenen Daten bei der Websuche?
- Was geschieht mit allen Daten bei Vertragsende?
Wie Company Chat die Kriterien erfüllt
Company Chat ist entlang genau dieser Liste gebaut: Datenhaltung in Frankfurt, KI-Modelle auf EU-Servern, AVV über die gesamte Kette, kein Training mit Ihren Inhalten, Löschkonzept, Mandantentrennung auf Datenbankebene, Audit-Log und anonymisierte Websuche. Was die Plattform darüber hinaus kann, zeigt die Funktionsübersicht; den direkten Vergleich mit allgemeinen Chatbots zieht die Seite ChatGPT-Alternative für Unternehmen.
Häufige Fragen
Ist ChatGPT DSGVO-konform?
In der Consumer-Version fehlt der Auftragsverarbeitungsvertrag – für den Firmeneinsatz mit personenbezogenen Daten scheidet sie aus. Business-Tarife bieten einen AVV mit einem US-Anbieter; die Bewertung des Drittlandtransfers liegt dann bei Ihrem Datenschutzbeauftragten. Ein KI-Chat mit vollständiger EU-Kette vermeidet diese Abwägung von vornherein.
Brauchen wir einen AVV für einen KI-Chat?
Ja. Sobald Mitarbeitende personenbezogene Daten eingeben – im Arbeitsalltag praktisch unvermeidbar –, ist der Anbieter Auftragsverarbeiter nach Art. 28 DSGVO und ein AVV Pflicht.
Dürfen Mitarbeitende personenbezogene Daten in den Chat eingeben?
Mit AVV, EU-Verarbeitung, Löschkonzept und ausgeschlossenem Training: ja, im Rahmen des dokumentierten Zwecks. Ohne diese Grundlage riskiert jedes Prompt mit Kundendaten einen Verstoß.
Reicht EU-Hosting der Datenbank?
Nein. Die Datenbank ist nur ein Glied der Kette. Auch KI-Modelle, Spracherkennung, Websuche und E-Mail-Versand verarbeiten Ihre Inhalte – jedes Glied muss in der EU laufen oder vertraglich abgesichert sein.
Wie kann eine Websuche DSGVO-konform sein?
Indem personenbezogene Daten vor dem Versand automatisch entfernt werden und der Vorgang im Audit-Log dokumentiert ist. Company Chat kombiniert dafür Mustererkennung mit einer zweiten Prüfung durch ein EU-Sprachmodell.
DSGVO-konform starten
Kostenlos beantragen und die Kriterien in der Praxis prüfen – mit Audit-Log, Löschkonzept und EU-Kette ab dem ersten Chat.